Apple, foto e video di iMessage esposti per falla nella crittografia

Le chat di iMessage non sono poi così sicure quanto si pensa o quanto Apple vuole farci credere.

I ricercatori della Johns Hopkins University hanno condiviso con il Washington Post i risultati di una loro ricerca in cui hanno scoperto una grave falla nel sistema di sicurezza usato da Apple per cifrare le foto, video e file inviati tramite iMessage, che possono essere intercettati e visualizzati con una certa semplicità.

iMessage è un servizio di messaggistica crittografato sin da quando è stato lanciato la prima volta. Questo significa che, quando si invia un messaggio tramite questo servizio, i messaggi vengono criptati in locale sul telefono utilizzando una chiave privata che viene inviata ai server di Apple per essere consegnata solo al device destinatario, che potrà quindi decodificare e visualizzare il messaggio. Il tutto avviene tramite una connessione sicura aperta tra i dispositivi interessati con i server di Apple.

Apple – come la società ha sempre ribadito – non potrebbe quindi leggere o decifrare i messaggi perché nei suoi server non rimane la chiave segreta, che viene condivisa solo dal device mittente con quello destinatario. I ricercatori della Johns Hopkins University, tuttavia, hanno scoperto un bug che, anche se non permette di decifrare i messaggi, puo’ essere sfruttato per intercettare foto, video o file che vengono scambiati tra gli utenti.

La falla. Scoperto che i file vengono condivisi utilizzando un metodo di crittografia debole, con una chiave di crittografia a 64 bit, i ricercatori hanno sviluppato un server che imita i server di Apple per intercettare i file crittografati e quindi potrebbero cercare di indovinare tra migliaia di chiavi quella giusta per decodifirare i file, e quindi visualizzarli. Questo perchè Apple non pone dei blocchi dopo un certo numero di tentativi falliti nell’indovinare la chiave giusta. 

Stando a quanto riportato sul Washington Post, è più difficile cercare di decodificare i file provenienti dai dispositivi che eseguono iOS 9 o versioni successive. Ma non è impossibile.

I ricercatori hanno voluto così dimostrare che anche la crittografia usata da Apple non è sicura al 100 per cento, non è inviolabile, e speriamo solo che le agenzie governative come la NSA o hacker non abbiano gia’ scoperto il bug da tempo e lo abbiano utilizzato.

Apple, ricevuta la segnalazione dai ricercatori, ha detto di aver già sviluppato un fix per risolvere il bug, che arriverà assieme con l’aggiornamento iOS 9.3 entro fine marzo.

"Apple lavora duro per rendere il nostro software più sicuro ad ogni versione," ha detto la società in un comunicato. "La sicurezza richiede una costante dedizione e siamo grati di avere una comunità di sviluppatori e ricercatori che ci aiutano a rimanere in testa."

I ricercatori prevedono di pubblicare un post con spiegata la vulnerabilità nel dettaglio dopo che Apple avrà rilasciato la sua patch (prima potrebbe essere percioloso rivelarne i dettagli).